Harvard, 850.500 email esposte: le nuove minacce cyber contro l’istruzione

<h3>🛡️ Executive Summary</h3>
<ul>
<li>Have I Been Pwned registra 850.500 indirizzi email coinvolti nella violazione dei sistemi Alumni Affairs and Development di Harvard del novembre 2025.</li>
<li>Una nuova segnalazione riguarda il ransomware 3AM contro un complesso scolastico britannico, con un possibile impiego dell’intelligenza artificiale non ancora accertato.</li>
<li>I due episodi, indipendenti tra loro, evidenziano i rischi derivanti da phishing, accessi non autorizzati e protezione insufficiente dei sistemi educativi.</li>
</ul>

Harvard University torna al centro dell’attenzione sulla sicurezza informatica dopo la pubblicazione di nuovi dati relativi alla violazione subita nel novembre 2025. Il servizio Have I Been Pwned ha registrato il 3 novembre 2026 circa 850.500 indirizzi email associati ai sistemi universitari dedicati agli ex studenti e alla raccolta fondi, confermando una dimensione dell’esposizione precedentemente non quantificata dall’ateneo. Parallelamente, una segnalazione riguarda un presunto attacco del ransomware 3AM contro una struttura scolastica britannica, con l’ipotesi di un coinvolgimento dell’intelligenza artificiale. Le vicende non risultano collegate, ma mostrano due problemi distinti per il settore dell’istruzione: la protezione dei dati personali e la continuità operativa delle infrastrutture digitali.

Harvard, la violazione del 2025 coinvolge 850.500 indirizzi email

Il nuovo elemento dell’incidente Harvard emerge dal registro ufficiale di Have I Been Pwned, che il 3 novembre 2026 ha aggiunto alla propria banca dati 850.500 indirizzi email univoci riconducibili ai sistemi Alumni Affairs and Development. L’attacco non è avvenuto in queste ore: la compromissione risale al 18 novembre 2025, quando l’università aveva scoperto accessi non autorizzati a seguito di un’operazione di phishing telefonico. Il dato pubblicato dal servizio di monitoraggio riguarda gli indirizzi presenti nel materiale esaminato e non dimostra automaticamente che altrettanti account Harvard siano stati compromessi attraverso il furto delle credenziali. I dati esposti comprendono nomi, indirizzi email, numeri telefonici, recapiti fisici e informazioni biografiche, oltre a dettagli relativi a donazioni e rapporti con l’università. Il dataset classificato da Have I Been Pwned comprende anche ulteriori categorie anagrafiche e professionali, tra cui date di nascita, informazioni familiari e profili social. L’ampiezza del patrimonio informativo è particolarmente rilevante perché riguarda non soltanto studenti e personale accademico, ma anche ex studenti, familiari e donatori. La quantità di indirizzi identificati consente di comprendere meglio l’estensione del materiale sottratto, senza trasformare il nuovo conteggio in una seconda violazione.

Leggi anche: Rubati 240 milioni di euro in truffe bancarie e data breach a Dartmouth, Harvard e SitusAmc

ShinyHunters rivendica il furto ma Harvard distingue i dati compromessi

La ricostruzione dell’incidente coinvolge anche ShinyHunters, gruppo criminale che aveva rivendicato il furto di oltre un milione di record e successivamente pubblicato materiale attribuito all’università. La rivendicazione non equivale però a un’attribuzione ufficiale dell’attacco da parte di Harvard. Nel proprio avviso istituzionale sulla violazione, l’ateneo conferma l’accesso non autorizzato ai sistemi amministrativi utilizzati per i rapporti con ex studenti e finanziatori, specificando che tali ambienti non contengono generalmente password, numeri di previdenza sociale, dati delle carte di pagamento o coordinate bancarie. Questa precisazione non riduce l’importanza del materiale sottratto, poiché informazioni personali, professionali e relazionali possono sostenere successive attività di impersonificazione. Un criminale che conosce il nome di un donatore, la sua affiliazione universitaria e alcuni dettagli dei suoi rapporti istituzionali dispone di elementi utili per costruire comunicazioni fraudolente credibili. Il problema, pertanto, non coincide esclusivamente con il rischio di accesso abusivo a un account, ma comprende l’utilizzo successivo dei dati personali per attività di ingegneria sociale. Harvard aveva dichiarato di avere revocato tempestivamente gli accessi non autorizzati, avviando verifiche con specialisti esterni e autorità competenti.

Ransomware 3AM, una nuova segnalazione coinvolge le scuole britanniche

Sul fronte europeo, una segnalazione relativa al ransomware 3AM descrive un attacco contro un complesso scolastico britannico, ipotizzando un possibile supporto dell’intelligenza artificiale. Il coinvolgimento dell’AI resta un’ipotesi, non una caratteristica tecnica dimostrata sulla base degli elementi direttamente verificabili. Il precedente operativo di 3AM, conosciuto anche come ThreeAM, è invece documentato dal 2023, quando Symantec individuò una famiglia ransomware sviluppata in Rust, capace di cifrare file, interrompere servizi e tentare l’eliminazione delle copie shadow di Windows. La successiva analisi delle infrastrutture ha evidenziato sovrapposizioni con ambienti criminali riconducibili a Conti e Royal, senza che tali collegamenti consentano di attribuire automaticamente ogni nuova operazione agli stessi responsabili. L’evoluzione delle tecniche impiegate dal gruppo dimostra una crescente attenzione alla compromissione delle identità e all’utilizzo di strumenti legittimi per ottenere accesso remoto. Per le organizzazioni scolastiche il pericolo riguarda soprattutto la disponibilità dei sistemi amministrativi, degli archivi e dei servizi indispensabili alle attività quotidiane. Non risultano invece verificabili, per questa specifica segnalazione britannica, il numero delle scuole coinvolte, l’eventuale sottrazione di dati e la reale estensione dei danni.

L’intelligenza artificiale non dimostra automaticamente l’autonomia dell’attacco

L’eventuale impiego dell’intelligenza artificiale nelle campagne ransomware richiede una distinzione fondamentale tra supporto operativo e autonomia effettiva. Un modello può essere utilizzato per analizzare configurazioni, generare script o assistere gli operatori nella gestione delle informazioni, senza necessariamente prendere decisioni o condurre un’intera intrusione in maniera indipendente. Questa differenza emerge anche dalle indagini sulle infrastrutture AI degli affiliati ransomware INC e The Gentlemen, nelle quali gli strumenti automatizzati operavano con supervisione umana. Per 3AM, le precedenti campagne documentate hanno mostrato tecniche basate su email bombing, vishing e abuso di Microsoft Quick Assist: gli aggressori utilizzavano telefonate contraffatte del supporto tecnico per convincere i dipendenti a concedere accesso ai dispositivi. In seguito potevano impiegare strumenti di amministrazione remota e ambienti virtualizzati per proseguire l’intrusione. Queste procedure, già documentate nel 2025, non provano tuttavia che il nuovo episodio britannico abbia seguito la stessa catena operativa. Analogamente, la presenza di script o automazioni non costituisce da sola evidenza dell’utilizzo di modelli linguistici. Attribuire un attacco all’AI richiede indicatori tecnici specifici, evitando di confondere sofisticazione criminale e capacità autonome della tecnologia.

Scuole e università devono proteggere identità, dati e servizi essenziali

I casi Harvard e 3AM evidenziano una fragilità comune alle organizzazioni educative, pur riguardando episodi differenti e con livelli di verifica diversi. Le università conservano grandi quantità di informazioni personali e relazionali, mentre scuole e istituti dipendono dalla disponibilità continua di piattaforme didattiche, registri, applicazioni amministrative e archivi. Nel caso Harvard, la compromissione attraverso phishing telefonico conferma l’importanza delle procedure di verifica dell’identità durante le richieste di assistenza informatica. Per contrastare operazioni ransomware come quelle storicamente associate a 3AM, diventano centrali il controllo degli accessi privilegiati, la protezione delle sessioni remote, il monitoraggio degli strumenti amministrativi e la disponibilità di backup isolati e verificati. La stessa evoluzione della famiglia criminale, ricostruita attraverso le precedenti campagne 3AM basate su telefonate fraudolente e accesso remoto, conferma che il perimetro tecnico non può essere separato dalla formazione del personale. Il nuovo conteggio degli indirizzi email di Harvard non annuncia un nuovo attacco, ma quantifica meglio un’esposizione già nota; la segnalazione britannica, invece, necessita ancora di riscontri tecnici sull’ipotizzato impiego dell’AI. La lezione per il settore dell’istruzione è che la difesa deve coprire contemporaneamente identità digitali, patrimonio informativo e continuità dei servizi, senza trasformare ogni nuova segnalazione in una compromissione già accertata.